Помогите пожалуйста избавится от заразы. Trojan.Fakealert.249

Printable View

26.02.2007, 06:30
Bormatolog

Вложений: 3

Помогите пожалуйста избавится от заразы. Trojan.Fakealert.249

Здравствуйте!
Завелся у меня троян :'-( .
Каждый раз после загрузки системы и выхода в интернет Dr.Web выдает сообщение: "C:\WINDOWS\system32\drvcot.dll - инфицирован Trojan.Fakealert.249". Я его удаляю (или перемещаю в карантин) но на следующий раз все повторяется. При чем я пробовал проверить эту drvcot.dll через онлайн форму Касперского, так он говорит: "Проверенный файл: drvcot.dll - Инфицирован
drvcot.dll - инфицирован Trojan.Win32.Agent.qt". Так что я даже не знаю какой троян у меня сидит. Ведь не могут быть два трояна в одном файле? Или это один и тот же троян с разными названиями? Информации по ИМЕННО ЭТИМ разновидностям трояна в интернете я не нашел. Есть много других, а именно .249 или .qt нету...
И еще, очень хотелось бы по возможности узнать, что же делает(ют) этот троян?
Ну и на последок, мысль не профессионала. Что-то мне подсказывает, что источник заразы не в drvcot.dll т.к. я его удалял, а он появляется снова...
Логи прилагаю.
Заранее очень признателен за помощь.
26.02.2007, 06:59
anton_dr

АВЗ - файл - выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('winmxw32.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\uphcleanhlp.sys','');
QuarantineFile('C:\WINDOWS\system32\drvcot.dll','');
QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
DeleteFile('C:\WINDOWS\system32\drvcot.dll');
DeleteFile('winmxw32.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится, после этого пришлите файл карантина согласно приложению 2 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL], начиная с п.5.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите [/URL]
[CODE]O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvcot.dll,startup
O20 - Winlogon Notify: winmxw32 - winmxw32.dll (file missing)[/CODE]

Также, если не прописывали сами и не знаете, откуда это, пофиксите
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255
O17 - HKLM\System\CS1\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255
O17 - HKLM\System\CS2\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255[/CODE]

После всего сделайте новые логи
26.02.2007, 09:22
Bormatolog

Вложений: 3

Выполнил все по порядку, как Вы и написали.
После первого пункта отправил файл карантина.
С остальными вышли проблемы:

O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvcot.dll,startup
O20 - Winlogon Notify: winmxw32 - winmxw32.dll (file missing)
Эти строки я просто не нашел... Они пропали или я слепой?

O17 - HKLM\System\CCS\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255
O17 - HKLM\System\CS1\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255
O17 - HKLM\System\CS2\Services\Tcpip\..\{01896920-F1FF-4DF5-BBAE-8CE391CDC6BF}: NameServer = 10.10.10.3,172.16.196.255
Эти строки я сам не прописывал, но после того как я их пофиксил у меня напрочь отказался запускаться интернет. Хорошо хоть сообразил в чем дело и как вернуть все обратно. (Позволю себе дать Вам совет, опишите в правилах процедуру бэкапа в hijackthis. Не все хорошо знают английский и могут разобраться в тонкостях программы...). По этому прилагаю логи сделанные после того, как я вернул три строки (017) на место.
И еще вопрос, в процессе сканирования avz4 выдает фразу: "6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем". Хотя я ничего не отключал... Это нормально?
26.02.2007, 09:36
anton_dr

[QUOTE=Bormatolog;97282]
Эти строки я просто не нашел... Они пропали или я слепой?
[/quote]
АВЗ их подчистил, скорее всего.
[quote]
Эти строки я сам не прописывал, но после того как я их пофиксил у меня напрочь отказался запускаться интернет. [/quote]
Интернет у вас выделенный, через эту контору? [url]http://www.tc-exe.ru/[/url] Тогда все нормально, сорри, что сразу не глянул.
[quote] (Позволю себе дать Вам совет, опишите в правилах процедуру бэкапа в hijackthis. Не все хорошо знают английский и могут разобраться в тонкостях программы...). [/quote]
Сделаем обязательно
26.02.2007, 09:45
Bormatolog

А что в остальном, присланный файл + новые логи, теперь у меня все в порядке? Троян наконец побежден? Или Вы еще не посмотрели?

И Вы не ответили,:
1. А что все же делает эта разновидность трояна и что это было Trojan.Fakealert.249 или Trojan.Win32.Agent.qt? Просто любопытно, для общего развития так сказать. К стати если нужно, могу прислать саму зараженную drvcot.dll. Она у меня пока сидит в карантине Dr.Web...

2. В процессе сканирования avz4 выдает фразу: "6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем". Хотя я ничего не отключал... Это нормально?
26.02.2007, 09:56
anton_dr

Все-таки вы ее не увидели. Пофиксите строчку, она там есть
O20 - Winlogon Notify: winmxw32 - C:\WINDOWS\

drvcot.dll был в присланном Вами карантине. Теперь должно быть все чисто.
26.02.2007, 10:07
Bormatolog

Спасибо, пофиксил. Я воспринял Ваше указание буквально и искал строку:
O20 - Winlogon Notify: winmxw32 - winmxw32.dll (file missing)
а не
O20 - Winlogon Notify: winmxw32 - C:\WINDOWS\

Ну теперь все впорядке, можно успокоиться?
26.02.2007, 10:10
anton_dr

Как бы да. Жалобы есть?
26.02.2007, 10:15
anton_dr

Если нет проблем с трафиком, можно прислать нам чистые файлы, для пополнения базы АВЗ
[url]http://virusinfo.info/showthread.php?t=3519[/url]
26.02.2007, 10:15
Bormatolog

[quote=anton_dr;97291]drvcot.dll был в присланном Вами карантине. Теперь должно быть все чисто.[/quote]

Так в том и вся хитрость. Было так: После загрузки Windows и выхода в интернет Dr.Web выдавал сообщение: "C:\WINDOWS\system32\drvcot.dll - инфицирован Trojan.Fakealert.249". Я его удалял (а один раз на всякий случай сохранил в карантине). Но после этого он "Поиском" все равно обнаруживался в директории C:\WINDOWS\system32\. Но при его проверке Dr.Web уже говорил, что файл чистый. А после перезагрузки все повторялось и он опять оказывался инфицированным.

Я это все к тому говорю, что сейчас вроде все нормально, по крайней мере Dr.Web не ругается больше. Но в зараженном виде drvcot.dll у меня в карантине пока остался и если надо, я могу прислать его Вам для опытов так сказать . Ну а если он Вам не нужен, скажите и я его просто удалю...
26.02.2007, 10:21
anton_dr

Сейчас тот файл есть в директории C:\WINDOWS\system32\ ?
Я не знаю специфики работы Веба, почему он обнаруживался там после удаления, и считался чистым, возможно подскажут те, кто пользуется им. Но в любом случае, такого файла в поставке Windows быть не должно. А зараженный файл у нас как я уже говорил есть, можете смело удалять. Вот результат проверки присланного.
[quote]Complete scanning result of "avz00001.dta", received in VirusTotal at 02.26.2007, 08:16:54 (CET).

Antivirus Version Update Result
AntiVir 7.3.1.38 02.26.2007 TR/Agent.QT.76
Authentium 4.93.8 02.25.2007 no virus found
Avast 4.7.936.0 02.26.2007 no virus found
AVG 386 02.25.2007 Generic3.SQ
BitDefender 7.2 02.26.2007 no virus found
CAT-QuickHeal 9.00 02.24.2007 Trojan.Agent.qt
ClamAV devel-20060426 02.26.2007 no virus found
DrWeb 4.33 02.25.2007 Trojan.Fakealert.249
eSafe 7.0.14.0 02.25.2007 Win32.Agent.qt
eTrust-Vet 30.4.3434 02.26.2007 Win32/Aflac.D
Ewido 4.0 02.25.2007 Trojan.Agent.qt
FileAdvisor 1 02.26.2007 no virus found
Fortinet 2.85.0.0 02.26.2007 W32/Agent.QT!tr
F-Prot 4.3.1.45 02.25.2007 no virus found
F-Secure 6.70.13030.0 02.26.2007 Trojan.Win32.Agent.qt
Ikarus T3.1.0.31 02.26.2007 Trojan.Win32.Agent.qt
Kaspersky 4.0.2.24 02.26.2007 Trojan.Win32.Agent.qt
McAfee 4970 02.23.2007 no virus found
Microsoft 1.2204 02.26.2007 no virus found
NOD32v2 2080 02.25.2007 no virus found
Norman 5.80.02 02.23.2007 W32/Agent.BAPF
Panda 9.0.0.4 02.25.2007 Adware/WinAntivirus2006
Prevx1 V2 02.26.2007 Malicious
Sophos 4.14.0 02.24.2007 no virus found
Sunbelt 2.2.907.0 02.24.2007 Trojan.Win32.Agent.qt
Symantec 10 02.26.2007 Trojan Horse
TheHacker 6.1.6.065 02.26.2007 Trojan/Agent.qt
UNA 1.83 02.23.2007 Trojan.Win32.Agent.8BE4
VBA32 3.11.2 02.25.2007 Trojan.Win32.Agent.qt
VirusBuster 4.3.19:9 02.25.2007 Trojan.Agent.SCS

Aditional Information
File size: 93696 bytes
MD5: 73bb2cee8a6d4cae30c79d9a63861e33
SHA1: 99daeb65cea310d9dd9f3dd114f610a57874fd67
packers: PecBundle, PECompact
Prevx info: [url]http://fileinfo.prevx.com/fileinfo.asp?PXC=8fa476621688[/url]
Sunbelt info: Trojan.Win32.Agent.qt is a trojan that steals information from the infected machine and sends the data to a remote website.[/quote]
26.02.2007, 10:38
Bormatolog

Вроде все понял. Сейчас такого фала (drvcot.dll) вообще нет на диске.
Большое спасибо за очень оперативную и квалифицированную помощь!!!

И еще один вопрос не по теме если позволите: Есть у меня в директории WINDOWS большая куча директорий типа
C:\WINDOWS\$hf_mig$\ в ней много директорий KB873339, KB885835, KB885836 и т.д.
И
C:\WINDOWS\$MSI31Uninstall_KB893803v2$\
C:\WINDOWS\$NtServicePackUninstallIDNMitigationAPIs$\
C:\WINDOWS\$NtUninstallKB873339$\
Названия этих директорий написано синим цветом. В каждой из них присутствует по несколько файлов (типа SPUNINST.EXE, spuninst.inf, lsasrv.dll)
Я так полагаю, что эти директории связаны с обновлением Windows. Но вот вопрос, нужны ли они или их надо поудалять? Ведь обновления уже установлены...
26.02.2007, 11:02
anton_dr

Не стоит. Они не занимаю много места, а в принципе, могут пригодиться. Если вы их удалите, пропадет возможность деинсталлировать обновления. Хотя, на моей практике это требовалось раза два всего, но, кто знает, может это именно ваш случай.
26.02.2007, 11:07
Bormatolog

Еще раз большое спасибо! :00000465: :beer:
22.02.2009, 01:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drvcot.dll - [B]Trojan.Win32.Dialer.qn[/B] (DrWEB: Trojan.Fakealert.249)[/LIST][/LIST]